Capítulo 13: Código de un solo uso: la llave a su cuenta
Si les pidiera en la calle la llave de su casa, probablemente llamarían a la policía o al menos se alejarían de mí a paso rápido. Si les pidiera el código secreto de su tarjeta de crédito junto al cajero automático, me considerarían un loco. Estamos educados desde cero para proteger los bienes físicos, las llaves y las billeteras. Pero en el mundo digital, el concepto de "llave" ha cambiado. Ya no está hecho de metal y no se encuentra en su bolsillo. Se compone de seis dígitos que les llegan en un mensaje SMS, y se llama OTP — One Time Password.
En este capítulo abordaremos el punto crítico de falla en la cadena de seguridad moderna. El código de un solo uso es la última línea de defensa. Es la puerta que separa al estafador del dinero de ustedes, entre la toma de control de la cuenta bancaria y su protección. Pero, paradójicamente, precisamente por ser el último "guardián", se ha convertido en el objetivo principal de las organizaciones de cibercrimen. A lo largo de años de trabajo profesional, surge una y otra vez la frase: "Pero le di el código. Soy culpable, ¿verdad? No tengo oportunidad de recuperar el dinero".
La respuesta a esta pregunta es mucho más compleja de lo que parece a simple vista. Reside en los entresijos de la psicología del engaño y en la letra de la legislación israelí, que intenta equilibrar la responsabilidad del cliente con el deber de cuidado de la entidad financiera. Adentrémonos en ello.
El siguiente escenario es un ejemplo educativo basado en patrones de fraude comunes. Los personajes y eventos están destinados únicamente a fines ilustrativos.
La historia de Erez: cuando la confianza personal se encuentra con el estafador experimentado
Erez (nombre ficticio) no es la persona que ustedes pensarían que caería en la trampa. A sus 42 años, ingeniero de software de profesión, es un hombre que vive y respira tecnología. Es consciente del phishing, sabe lo que es el "cifrado de extremo a extremo", y siempre ha sido quien advierte a sus padres mayores que no hagan clic en enlaces sospechosos. Un martes, a las 18:30, mientras Erez intentaba hacer malabarismos entre preparar la cena para los niños y responder correos electrónicos urgentes, su teléfono sonó.
En la pantalla apareció el nombre: "Banco Leumi - Centro de Seguridad". El número era idéntico al que figura en el reverso de su tarjeta de crédito (una técnica que detallamos en el capítulo anterior sobre la suplantación de identidad del número de llamada). Erez respondió.
"Hola, habla Daniel del departamento de seguridad del banco", dijo una voz autoritaria y tranquila, y detrás se escuchaban ruidos de fondo de un centro de atención telefónica activo: otros timbres de teléfono, murmullos de agentes. "Erez, detectamos en este momento un intento de retiro inusual de su cuenta en la sucursal de Beerseba. ¿Autorizó una transferencia de 8,500 NIS a alguien llamado 'Mohamed Ahmed'?"
El pulso de Erez se aceleró. "¿Qué? ¡En absoluto! Estoy en casa en Haifa, no autoricé nada parecido".
"Entiendo", respondió Daniel con tono tranquilizador. "No se preocupe, nuestro sistema bloqueó la operación temporalmente, pero para cancelarla definitivamente y proteger la cuenta contra intentos adicionales, necesito realizar una verificación con su aplicación. Le envío ahora un mensaje del banco con un código temporal. Léamelo para que pueda ingresarlo en el sistema y bloquear el acceso no autorizado".
En segundos, el teléfono de Erez vibró. Un mensaje SMS entró en el hilo de mensajes habitual del banco. El texto decía: "Su código para ingresar a la cuenta es 449281. No entregue este código a nadie". Erez vio la advertencia, pero Daniel estaba en la línea. Daniel era "del banco". Daniel estaba allí para salvarlo del ladrón de Beerseba.
"Recibido", dijo Erez. "El código es 44-92-81".
"Excelente, Erez. Veo que la operación fue cancelada. Ahora, para estar 100% seguros, el sistema requiere una confirmación adicional para volver a sincronizar su dispositivo. Le envío otro código".
El segundo código llegó. Esta vez Erez ni siquiera leyó la advertencia. Simplemente leyó los números. "992103".
"Muchas gracias, Erez. Su cuenta está protegida ahora. Un representante de la sucursal lo llamará mañana por la mañana para emitir una tarjeta nueva. Buenas noches". La llamada se cortó.
Erez volvió a preparar tortillas. Sentía alivio. Suerte que el banco está atento, pensó. Solo una hora después, cuando entró en la aplicación para verificar si su saldo se había actualizado, descubrió la amarga verdad. La cuenta no estaba protegida. Al contrario. Estaba vacía. Dos transferencias "Zahav" (RTGS) por valor de 50,000 NIS cada una se realizaron desde su cuenta minutos después de la llamada. Además, se añadió una orden permanente nueva y se realizaron compras en el extranjero.
Lo que Erez no sabía es que mientras él hablaba con "Daniel", el estafador estaba sentado frente a la computadora. El primer código que Erez entregó era el código que autorizaba al estafador a ingresar a su cuenta desde un dispositivo nuevo. El segundo código era la aprobación de la transferencia masiva de fondos. "Daniel" no era del banco; era el ladrón en persona.
La anatomía del fraude: ¿qué ocurre realmente tras bambalinas?
Para entender por qué el código de un solo uso es una herramienta tan poderosa para los estafadores, debemos comprender el sistema bancario moderno. Los bancos han pasado a un método de "autenticación de doble factor" (Two-Factor Authentication o 2FA). La idea es simple: para realizar una operación sensible, no basta con saber algo (contraseña), también se necesita poseer algo (su teléfono móvil).
Los estafadores entendieron que no necesitan hackear los servidores del banco —una tarea casi imposible—. Necesitan hackear el "servidor" más débil del sistema: el cerebro humano. Esto es ingeniería social en su máxima expresión. El código de un solo uso es la barrera final, y lo obtienen creando una sensación de urgencia y ansiedad.
Cuando Erez leyó el código, en realidad realizó una acción legal y técnica de "confirmación". Desde el punto de vista de los sistemas informáticos del banco, la acción fue realizada por el propio cliente, porque el código se envió a su dispositivo autenticado y se ingresó correctamente. Esta es la razón por la que los bancos se apresuran a deslindar su responsabilidad en tales casos. Argumentan que se trata de negligencia del cliente.
¿Pero es tan simple? ¿El hecho de que Erez haya entregado el código cierra la puerta a su posibilidad de recuperar el dinero? Aquí es donde entra la complejidad del análisis legal.
El campo de batalla legal: Ley de Servicios de Pago y la delgada línea de la "negligencia grave"
En Israel, el marco legal principal que regula la relación entre el cliente y el banco en casos de fraude es la Ley de Servicios de Pago, 2019. Esta ley reemplazó la antigua Ley de Tarjetas de Crédito y amplió las protecciones al consumidor en la era digital.
El artículo 14 de la ley trata sobre una "transacción de pago no autorizada". La regla básica es que, si se realizó una operación en la cuenta sin el consentimiento del cliente, el banco (o la compañía de tarjetas de crédito) podría ser requerido a devolverle su dinero. Sin embargo, existe una excepción significativa: si el cliente actuó con "negligencia grave" (Gross Negligence), el banco podría estar exento de la restitución, o al menos de una parte de ella.
Aquí comienza el examen legal. Los representantes de las instituciones financieras podrían argumentar que la entrega de un código OTP es "negligencia grave" por definición, debido a la advertencia que aparece en el mensaje.
Sin embargo, un análisis legal de las tendencias aceptadas muestra que la "negligencia grave" es un concepto relativo. Se acostumbra examinar la totalidad de las circunstancias:
- La sofisticación del fraude: ¿El estafador utilizó información personal previa que tenía sobre el cliente para ganarse su confianza?
- Suplantación del número de teléfono: Cuando la llamada parece provenir de una fuente oficial, el cliente puede encontrarse en una situación de engaño óptico que dificulta identificar la estafa.
- La situación del cliente: ¿Las circunstancias durante la llamada afectaron el juicio del cliente?
- El deber de monitoreo del banco: Este es un punto clave. La entidad bancaria está obligada a operar sistemas para monitorear actividades inusuales. Un examen legal verificará si los sistemas de alerta funcionaron correctamente y si era posible detener la acción a tiempo.
En muchos casos, es posible examinar el argumento de que, incluso si el cliente fue negligente, existe una responsabilidad cierta también de la institución financiera si no detectó una actividad inusual de manera extrema. La responsabilidad legal podría dividirse entre las partes de acuerdo con las circunstancias del caso.
Más allá del código: cómo construir un muro de protección psicológica y legal
El código de un solo uso es solo el síntoma. El problema es la capacidad de los estafadores para construir una "realidad alternativa" en la que entregar el código parece ser la única acción lógica. Como regla general, es importante recordar que una institución bancaria no debe solicitar un código enviado por SMS para cancelar una operación o asegurar una cuenta de forma proactiva en una conversación telefónica.
Un código OTP está destinado a realizar operaciones. Entregar el código a un tercero podría permitirle realizar operaciones en su nombre.
¿Qué hacer cuando la presión en la llamada es inmensa? La respuesta profesional recomendada es cortar el contacto. Se puede finalizar la llamada y contactar de forma proactiva al número oficial de la institución financiera para verificar el estado de la cuenta.
Desde el punto de vista legal, la documentación es crítica. En caso de sospecha de fraude, se recomienda documentar la hora de la llamada, el número de teléfono, el texto del mensaje SMS y cualquier otro detalle. Estos detalles podrían servir como herramientas en el examen legal del caso y en el intento de recuperar los fondos.
El guardián que se convirtió en caballo de Troya
La tecnología diseñada para protegernos a veces puede usarse como arma por estafadores que ejecutan un "hackeo suave" a través del usuario. Existen técnicas más complejas de toma de control de medios de comunicación, sobre las cuales ampliaremos más adelante.
Es importante recordar: la lucha legal en estos casos requiere una comprensión profunda. Las instituciones financieras están respaldadas por un amplio asesoramiento legal y tenderán a argumentar la responsabilidad del cliente. Un examen profesional intentará mostrar la complejidad del escenario presentado a la víctima y el nivel de sofisticación del actor hostil.
El análisis legal moderno reconoce que los fenómenos de estafa telefónica son comunes, y se debe evaluar si se puede esperar que un ciudadano identifique cada intento de fraude sofisticado en cualquier momento dado. A veces, se evalúa la responsabilidad institucional junto con la responsabilidad personal.
Señales de alerta (Red Flags)
- Urgencia excesiva: Creación de presión para una acción inmediata con el argumento de que el dinero está en peligro.
- Solicitud de código para cancelar una operación: Solicitud de recibir un código OTP para cancelar una transacción o asegurar una cuenta.
- Llamada proactiva en horas no habituales: Intentos de confirmación de operaciones por teléfono en momentos en que los centros de atención habituales no están operando plenamente.
- Incapacidad del representante para dar detalles identificativos: Dificultad del interlocutor para proporcionar información que solo el banco debería conocer.
- Idioma y sintaxis: Errores ortográficos o redacción inusual en los mensajes SMS de la institución financiera.
Qué hacer de inmediato (Action Plan)
- Corte y verificación: Finalizar la llamada y contactar proactivamente al centro oficial del banco.
- Documentación: Captura de pantalla de mensajes, registro de números de teléfono y nombres tal como se presentaron.
- Bloqueo: En caso de haber entregado un código, se recomienda actuar para cambiar contraseñas o congelar tarjetas de inmediato.
- Reporte al banco: Reporte al centro de seguridad de la institución financiera y registro del número de referencia.
- Presentación de denuncia en la policía: Paso necesario para la investigación de los hechos y la posible exigencia de restitución.
- Asesoramiento legal: Se pueden evaluar opciones para la recuperación de fondos mediante la consulta con un profesional en el campo, para verificar si se cumplió con el deber de cuidado requerido por parte del banco.
Aspecto legal: resumen de la responsabilidad
Al abordar un caso de fraude por código de un solo uso, el análisis legal se centrará en evaluar la responsabilidad de cada parte. Según la Ley de Servicios de Pago, la carga de la prueba para demostrar negligencia grave recae en la institución financiera. Esta es una carga legal significativa.
A lo largo de los años de trabajo profesional, es habitual analizar cada caso individualmente: ¿Las advertencias fueron claras? ¿Los sistemas tecnológicos detectaron la actividad como inusual? ¿Existen indicadores de fallas en el sistema de defensa de la institución financiera?
Recuerden: entregar un código es, en efecto, un error, pero en ciertas circunstancias se puede evaluar si equivale a una "negligencia grave" que anula sus derechos. El sistema financiero se basa en la confianza y, en circunstancias posibles, tras el examen de las pruebas, las partes podrían llegar a entendimientos o acuerdos sobre la restitución de fondos. La oportunidad depende de las circunstancias específicas de cada caso.
En el próximo capítulo abordaremos una de las herramientas más complejas en el arsenal del estafador digital: la toma de control remoto de dispositivos finales.
2228 Palabras · 11 min de lectura